遠端主機上安裝的 IBM Global Security Kit (GSKit) 是比 7.0.4.45 舊的 7.0.x 版，或比 8.0.14.27 舊的 8.0.14.x 版。
因此，其會受到資訊洩漏弱點的影響。
「傳輸層安全性」(TLS) 通訊協定並未正確考量計時側通道攻擊，進而允許遠端攻擊者透過特製封包計時資料的統計分析，發動區別性攻擊與純文字復原攻擊。此類型的惡意利用稱為「Lucky Thirteen」攻擊。

Adam Langley 和 Wolfgang Ettlingers 發現 OpenSSL 搭配 AES-NI 使用時，會不正確地處理某些特製的 CBC 資料。遠端攻擊者可利用此問題造成 OpenSSL 損毀，進而導致拒絕服務。此問題僅影響 Ubuntu 12.04 LTS 和 Ubuntu 12.10。(CVE-2012-2686)

Stephen Henson 發現 OpenSSL 未正確執行 OCSP 回應的簽章驗證。遠端攻擊者可利用此問題造成 OpenSSL 損毀，進而導致拒絕服務。
(CVE-2013-0166)

Nadhem Alfardan 和 Kenny Paterson 發現 OpenSSL 中使用的 TLS 通訊協定容易受到計時側通道攻擊，稱為「Lucky Thirteen」問題。遠端攻擊者可利用此問題透過計時資料的分析，執行純文字復原攻擊。
(CVE-2013-0169)。

遠端主機上執行的似乎是 Fix Pack 7 之前的 IBM WebSphere Application Server 8.0。因此可能受到以下弱點影響：

- 存有一個與 Apache Ant 和檔案壓縮相關的瑕疵，可導致拒絕服務條件。(CVE-2012-2098 / PM90088)

- GSKIT 元件中的 TLS 通訊協定容易遭受純文字復原攻擊。
 (CVE-2013-0169 / PM85211)

- 存有一個與 OAuth 相關的瑕疵，可讓遠端攻擊者取得其他人的認證。
 (CVE-2013-0597 / PM85834 / PM87131)

- 存有一個與 OpenJPA 相關的瑕疵，這會在還原序列化時遭到觸發，讓遠端攻擊者可寫入檔案系統並可能執行任意程式碼。請注意，供應商表示此應用程式不會直接受到此瑕疵影響，
但是此應用程式的確包含受影響的 OpenJPA 版本。(CVE-2013-1768 / PM86780)

- 在隨附的 IBM HTTP Server　中，選用「mod_rewrite」模組中存有一個輸入驗證瑕疵，可允許透過包含某些逸出序列的 HTTP 要求來執行任意命令。
 (CVE-2013-1862 / PM87808)

- 存有一個與隨附 IBM HTTP Server　中選用「mod_dav」模組相關的瑕疵，可導致拒絕服務情形。
 (CVE-2013-1896 / PM89996)

- 存有多個與管理主控台相關的使用者提供之輸入驗證錯誤，可導致跨網站指令碼攻擊。
 (CVE-2013-2967 / PM78614 / CVE-2013-4004 / PM81571 / CVE-2013-4005 / PM88208)

- 存在一個與管理主控台未正確快取相關的資訊洩漏弱點。
 (CVE-2013-2976 / PM79992)

- 存有一個使用者提供的輸入驗證錯誤，可允許發動跨網站要求偽造 (CSRF) 攻擊。(CVE-2013-3029 / PM88746)

遠端 OracleVM 系統缺少可解決重要安全性更新的必要修補程式：

- 修正 CVE-2014-0224 - SSL/TLS MITM 弱點

- 取代 ca-bundle.crt 中過期的 GlobalSign Root CA 憑證

- CVE-2013-0169 的修正 - SSL/TLS CBC 定時攻擊 (#907589)

- CVE-2013-0166 的修正 - OCSP 簽章檢查中有 DoS (#908052)

- 只有在系統明確要求，或是已設定 OPENSSL_DEFAULT_ZLIB 環境變數時，才啟用壓縮 (修正 CVE-2012-4929 #857051)

- 全域使用 __secure_getenv 取代 getenv (#839735)

- CVE-2012-2333 的修正 - 不當檢查 DTLS 中的記錄長度 (#820686)

- CVE-2012-2110 的修正 - asn1_d2i_read_bio 中的記憶體損毀 (#814185)

- 修正可能會不正確終止交握的 SGC 重新啟動修補程式問題

- CVE-2012-0884 的修正 - CMS 和 PKCS#7 程式碼中有 MMA 弱點 (#802725)

- CVE-2012-1165 的修正 - 損毀的 MIME 標頭上有 NULL 讀取解除參照 (#802489)

- CVE-2011-4108 和 CVE-2012-0050 的修正 - DTLS 純文字復原弱點和其他 DTLS 修正 (#771770)

- CVE-2011-4109 的修正 - 原則檢查中有重複釋放瑕疵 (#771771)

- CVE-2011-4576 的修正 - 未初始化的 SSL 3.0 填補 (#771775)

- CVE-2011-4619 的修正 - SGC 重新啟動 DoS 攻擊 (#771780)

- 新增已知的 SHA2 演算法答案測試 (#740866)

- 針對 Makefile 2048 位元的憑證，指定預設的私密金鑰長度 (可使用 PRIVATE_KEY_BITS 設定變更) (#745410)

- 修正 parse_yesno 中不正確的傳回值 (#726593)

- 新增 DigiCert CA 憑證到 ca-bundle (#735819)

- 已在 README.FIPS 中新增有關錯誤狀態的小節 (#628976)

- 新增計算 DH 金鑰時缺少的 Dh_check_pub_key 呼叫 (#698175)

- 預先排序 SSL 中可用的密碼清單 (#688901)

- 接受 s_server 連線，即使 getaddrinfo 失敗亦然 (#561260)

- 指向 openssl dgst 取得支援摘要清單 (#608639)

- 修正 TLS 未來版本的處理 (#599112)

- 新增 VeriSign Class 3 Public Primary 憑證授權單位- G5 和 StartCom 憑證授權單位的憑證到 ca-bundle (#675671、#617856)

- 上游已修正 CHIL 引擎 (#622003、#671484)

- 在 SSL_library_init 中新增 SHA-2 雜湊 (#676384)

- 修正 CVE-2010-4180 - 完全停用 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 的程式碼 (#659462)

- 修正 CVE-2009-3245 - 新增缺少的 bn_wexpand 傳回檢查 (#570924)

- 修正 CVE-2010-0433 - 不傳送 NULL princ 給 krb5_kt_get_entry，其在 RHEL-5 和更新版本中在此情況下會損毀 (#569774)

- 修正 CVE-2009-3555 - 支援安全的重新交涉延伸模組，伺服器上預設為不允許採用舊的重新交涉 (#533125)

- 修正 CVE-2009-2409 - 放置 EVP 表格的 MD2 演算法 (#510197)

- 修正 CVE-2009-4355 - 應用程式提前呼叫 CRYPTO_cleanup_all_ex_data 時不會洩漏記憶體 (#546707)

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.6.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 6 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。(CVE-2013-0169、CVE-2013-0401、CVE-2013-1491、CVE-2013-1537、CVE-2013-1540、CVE-2013-1557、CVE-2013-1563、CVE-2013-1569、CVE-2013-2383、CVE-2013-2384、CVE-2013-2394、CVE-2013-2417、CVE-2013-2418、CVE-2013-2419、CVE-2013-2420、CVE-2013-2422、CVE-2013-2424、CVE-2013-2429、CVE-2013-2430、CVE-2013-2432、CVE-2013-2433、CVE-2013-2435、CVE-2013-2440)

建議所有 java-1.6.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 6 SR13-FP2 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

IBM Java 6 已更新至 SR13 FP1，修正了數個錯誤和安全性問題。

如需詳細資訊，請參閱下列網址：

http://www.ibm.com/developerworks/java/jdk/alerts/

以及：

http://www.ibm.com/developerworks/java/jdk/aix/j664/Java6_64.fixes.html#SR13FP1

已修正的 CVE：CVE-2013-0485 / CVE-2013-0809 / CVE-2013-1493 / CVE-2013-0169

ID	名稱	產品	系列	已發布	已更新	嚴重性
67231	IBM GSKit 7.x < 7.0.4.45 / 8.0.14.x < 8.0.14.27 TLS 側通道定時資訊洩漏	Nessus	General	2013/7/10	2022/12/5	low
64798	Ubuntu 8.04 LTS / 10.04 LTS / 11.10 / 12.04 LTS / 12.10 : openssl 弱點 (USN-1732-1)	Nessus	Ubuntu Local Security Checks	2013/2/22	2022/12/5	medium
69449	IBM WebSphere Application Server 8.0 < Fix Pack 7 多種弱點	Nessus	Web Servers	2013/8/23	2022/12/5	high
79532	OracleVM 3.2︰onpenssl (OVMSA-2014-0008)	Nessus	OracleVM Local Security Checks	2014/11/26	2022/12/5	high
66440	RHEL 5 / 6：java-1.6.0-ibm (RHSA-2013:0823)	Nessus	Red Hat Local Security Checks	2013/5/15	2024/11/4	critical
66194	SuSE 11.2 安全性更新：IBM Java (SAT 修補程式編號 7627)	Nessus	SuSE Local Security Checks	2013/4/24	2022/12/5	critical

偵測

搜尋 Plugin

low

medium

high

high

critical

critical